VPN పోర్ట్‌లను నిరోధించడం అనధికారిక టన్నెళ్లను ఎందుకు ఆపదు

ఫైర్‌వాల్ నియమం తనకు సరిపోయే ట్రాఫిక్‌ను తిరస్కరిస్తుంది. అది అనుమతించే కనెక్షన్ యొక్క ప్రతి వినియోగాన్ని తిరస్కరించదు, అనధికారిక టన్నెళ్లకు వ్యతిరేకంగా చాలా విధానాలు ఈ ఖాళీలోనే విఫలమవుతాయి. ఐదు సంవత్సరాల క్రితం ప్రజాదరణ పొందిన క్లయింట్ పోర్ట్‌లను నిరోధించడం 443 ద్వారా వెళ్లే ప్రతిదాన్ని తాకకుండా వదిలేస్తుంది, తన సొంత మార్గాలను తిరిగి రాయగల పరికరం గురించి ఏమీ చెప్పదు. నియంత్రణను అధికారం మరియు గమ్యాల చుట్టూ నిర్మించి, ఆపై మీరు నిజంగా అనుమతించే ప్రవాహాలను చదవండి.

పోర్ట్ జాబితా విధానం ఎందుకు కాదు

పోర్ట్‌లు రవాణా పొర భావన, కొన్ని టన్నెల్ సాంకేతికతలు వాటిని అసలు ఉపయోగించవు. మరికొన్ని సాధారణ వెబ్ ట్రాఫిక్‌తో పోర్ట్‌ను ఉద్దేశపూర్వకంగా పంచుకుంటాయి, ఎందుకంటే ఆ పోర్టే హామీగా దాటిపోయేది. అందువల్ల చారిత్రక పోర్ట్‌పై ఆధారపడిన నియమం ప్రవర్తన వర్గాన్ని కాదు, కొన్ని అమలులను లెక్కిస్తుంది. అది త్వరగా పాతబడుతుంది కూడా: ఒక ప్రదాత డిఫాల్ట్‌లను మార్చిన క్షణంలో జాబితా గతాన్ని వివరిస్తుంది.

అంతకంటే దారుణం, ఒక పోర్ట్ విజయవంతంగా నిరోధించడాన్ని మొత్తం సమస్య పరిష్కారమైందని రుజువుగా చదవవచ్చు, ఇది ముఖ్యమైన నియంత్రణలను ఆలస్యం చేస్తుంది.

ప్రోటోకాల్ నంబర్లు మరియు పోర్ట్‌లు వేర్వేరు నామావకాశాలు

GRE కు IP ప్రోటోకాల్ నంబర్ 47 కేటాయించబడింది. అది TCP పోర్ట్ 47 కాదు, UDP పోర్ట్ 47 కాదు, పోర్ట్ కోసం రాసిన ఫిల్టర్ దానిని తాకదు. ESP మరియు AH అదే లక్షణంతో ప్రోటోకాల్ నంబర్లు 50 మరియు 51 లో ఉన్నాయి. ఎన్‌క్యాప్సులేటెడ్ ట్రాఫిక్ అనుమతించిన కనెక్షన్ లోపల కూడా దాక్కోగలదు, అందువల్ల ఒక వర్గం లేదా సంతకం సహాయపడవచ్చు, కానీ ఒంటరిగా ఎప్పుడూ లక్ష్యాన్ని ధ్రువీకరించదు. విశ్వాసం మరియు కవరేజ్ నిర్దిష్ట ఉత్పత్తి మరియు విడుదలకు చెందుతాయి, భావనకు కాదు.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

మొదటి ఆదేశం మీరు నిజంగా ఏమి రాశారో చూపిస్తుంది; రెండవది స్టాక్‌కు తెలిసిన ప్రోటోకాల్ పట్టికను చూపిస్తుంది; మూడవది ఇప్పుడు ఎన్ని సెషన్లు వెబ్ పోర్ట్‌ను ఉపయోగిస్తున్నాయో చూపిస్తుంది. వాటిలో ఏదీ ఆ సెషన్లు ఎందుకు అని చెప్పదు. TLS అడ్డగింత అనేది విశ్వాసం, గోప్యత మరియు క్లయింట్ అనుకూలతకు సొంత ఖర్చుతో కూడిన ప్రత్యేక నిర్ణయం. అది పేరు పెట్టిన గమ్యాన్ని తిరస్కరించడానికి ముందస్తు షరతు కాదు, టన్నెళ్లను గుర్తించే హామీ కూడా కాదు.

పరికరానికి ఉన్న అధికారాన్ని నియంత్రించండి

తన సొంత రూటింగ్ పట్టికను మరియు ఫిల్టరింగ్‌ను మార్చగల పరికరానికి సాధారణ యాప్‌కు లేని సామర్థ్యాలు ఉంటాయి. ప్రవేశం మరియు కాన్ఫిగరేషన్ నిర్వహణే ఆ సామర్థ్యాన్ని తొలగిస్తుంది, టన్నెల్ ఏ పోర్ట్ ఉపయోగించినా అది పనిచేస్తుంది.

అర్థం ఏమిటంటే ఆమోదించిన కనెక్షన్లు ఇతర పరికరాల తరఫున ఫార్వర్డ్ చేయడానికి అపరిమిత అనుమతికి బదులు తమ ప్రకటిత పాత్రను పొందుతాయి, మరియు సంస్థాపన మరియు నెట్‌వర్క్ నిర్వహణ హక్కులు విధానంలో భాగం, తర్వాత ఆలోచన కాదు.

మిగిలిన ప్రవాహాలను గమనించండి. పరికర గుర్తింపు, కేటాయించిన పాత్ర మరియు ప్రవాహ మెటాడేటాను పరస్పరం అనుసంధానించి, వర్గీకరణను పరిమితులున్న సాక్ష్యంగా పరిగణించండి, తీర్పుగా కాదు.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

దీర్ఘకాలిక ఎన్‌క్రిప్టెడ్ సెషన్ లేదా పెద్ద బైట్ సంఖ్య దుర్వినియోగానికి సాక్ష్యం కాదు: బ్యాకప్‌లు, మద్దతు సాధనాలు మరియు సైట్ లింక్‌లు ఒకేలా కనిపిస్తాయి. సేకరణను దర్యాప్తుకే పరిమితం చేయండి మరియు కనుగొన్నదాన్ని దానిని కలిగి ఉన్న ప్రక్రియ కింద ఉంచండి.

మినహాయింపులను స్పష్టం చేయండి

ప్రతి వాతావరణంలో నవీకరణలు, ప్రామాణీకరణ మరియు పునరుద్ధరణ కోసం చేరుకోగలిగేలా ఉండాల్సిన గమ్యాలు ఉంటాయి. వాటిని లక్ష్యం మరియు బాధ్యుడితో రాయండి, ఒక్కో అంతరాయంలో కనుగొనే బదులు వాటిని సమీక్షించండి.

వ్యాపారం నిజంగా విస్తృత బాహ్య సేవను అనుమతించినప్పుడు, గమ్యపు లేబుల్ ప్రతి వినియోగాన్ని ఆమోదయోగ్యం చేస్తుందని ఊహించే బదులు ఆ సేవ అందించే అధికారాన్ని అంచనా వేయండి.

సమీక్షించని మినహాయింపు టికెట్ నంబర్ ఉన్న రంధ్రం. పేరు, కారణం మరియు సమీక్ష తేదీ ఉన్న మినహాయింపు ఒక నిర్ణయం.

నినాదంతో కాదు, లిఖిత ప్రణాళికతో అంగీకరించండి

అంగీకారానికి రెండు సగాలు ఉన్నాయి: ఆమోదించిన పని ఇప్పటికీ విజయవంతమవుతుంది, నిర్దిష్ట నిషేధిత కేసులు అధికారిక పరీక్షలో విఫలమవుతాయి. రెండూ మార్పుకు ముందు రాయాలి మరియు తర్వాత పునరావృతం చేయాలి.

ఆ సమీక్షలో ఎండ్‌పాయింట్ మరియు విధాన మార్పులను చేర్చండి, ఎందుకంటే ల్యాప్‌టాప్‌లో జోడించిన మార్గం అంచున పరిపూర్ణంగా పనిచేసిన ఫిల్టర్‌ను రద్దు చేయవచ్చు.

ఫలితం మిగిలిన ప్రమాదం యొక్క తెలిసిన జాబితాతో కూడిన యాజమాన్య నిష్క్రమణ సరిహద్దు. కొన్ని మూసిన పోర్ట్‌లు అనధికారిక VPN వినియోగాన్ని ముగించాయని చెప్పడం అది కాదు.